AnswersPublished22 sources
CVE-2026-76460 у Cisco ISE: активно експлуатований zero-day з CVSS 10,0 вимагає негайного оновлення
CVE 2026 76460 — активно експлуатована уразливість CVSS 10,0 у Cisco ISE та ISE PIC: спеціально сформований запит до API може обійти автентифікацію й привести до виконання команд із правами root без облікових даних аб... 16 вересня 2026 року CISA внесла CVE 2026 76460 до каталогу Known Exploited Vulnerabilities (KEV...
ОпублікувавВідредаговано за допомогою GPT-5.6 TerraЗображення створено за допомогою GPT Image 2
Research answer
Key takeaways
- CVE 2026 76460 — активно експлуатована уразливість CVSS 10,0 у Cisco ISE та ISE PIC: спеціально сформований запит до API може обійти автентифікацію й привести до виконання команд із правами root без облікових даних аб...
- 16 вересня 2026 року CISA внесла CVE 2026 76460 до каталогу Known Exploited Vulnerabilities (KEV) і встановила для федеральних цивільних установ США дедлайн усунення до 19 вересня.
- Для підтримуваних гілок доступні виправлення; ISE 3.0 більше не підтримується, тому його слід мігрувати на підтримуваний реліз.
- Потенційно скомпрометовані вузли слід розглядати як інцидент: зберегти докази, перевірити журнали й за наявності ознак компрометації перевстановити систему, а не обмежуватися патчем.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the significance of Cisco’s actively exploited maximum-severity zero-day CVE-2026-76460 in Cisco Identity Services Engine (ISE) and. Article summary: CVE-2026-76460 is an emergency, internet-facing identity-infrastructure compromise risk: an unauthenticated remote attacker can send a crafted request to a vulnerable ISE/ISE-PIC API endpoint, bypass authentication, and . Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
CVE-2026-76460 має винятково серйозні наслідки, оскільки зачіпає інфраструктуру керування ідентичностями та вже активно експлуатується. Уразливі Cisco Identity Services Engine (ISE) і ISE Passive Identity Connector (ISE-PIC). Віддалений зловмисник без автентифікації може надіслати спеціально сформований запит до вразливого API, обійти перевірку доступу, а успішна експлуатація може дати виконання команд із правами root на пристрої. 1
3
48
Чому це аварійна ситуація
Уразливість має максимальну оцінку CVSS 10,0 і стосується ISE та ISE-PIC незалежно від конфігурації пристрою. Для атаки не потрібні ані чинні облікові дані, ані взаємодія користувача: достатньо спеціально сформованого запиту до вразливої API-точки, щоб обійти вебінтерфейс керування. 1
3
40
Cisco повідомила про активну експлуатацію 16 вересня 2026 року. Того ж дня Агентство США з кібербезпеки та безпеки інфраструктури (CISA) додало CVE-2026-76460 до каталогу Known Exploited Vulnerabilities (KEV) — переліку вразливостей, які вже використовують у реальних атаках. Для федеральних цивільних відомств США CISA встановила дедлайн усунення до 19 вересня. 1
9
15
Обхідного рішення, яке усуває першопричину проблеми, немає. Для підтримуваних релізів виправленням є встановлення оновленого ПЗ Cisco. 2
16
Що означає обхід автентифікації в ISE
ISE — це платформа керування мережевими ідентичностями та контролю доступу. Тому її компрометація ставить під загрозу важливий вузол інфраструктури. Безпосередня причина CVE-2026-76460 — недостатній контроль автентифікації в API: спеціально сформований запит може оминути передбачені перевірки доступу. 1
40
Наслідки не обмежуються переглядом інтерфейсу адміністрування. За даними Cisco та профільних видань, неавтентифікований атакувальник може отримати виконання команд на рівні root — тобто фактичний контроль над уразливим апаратом або віртуальним вузлом. 3
48
Для організацій із вразливими системами це потенційно є інцидентом кібербезпеки, особливо якщо інтерфейси керування або API ISE доступні з недовірених мереж чи широких внутрішніх сегментів. Водночас публічні матеріали не називають ані зловмисників, ані масштаб кола жертв, ані використані інструменти, дату початку атак або підтверджені дії після компрометації. 1
15
Виправлені релізи Cisco ISE та ISE-PIC
Перші версії з виправленням:
| Гілка релізу | Перша виправлена версія |
|---|---|
| ISE / ISE-PIC 3.1 | 3.1 Patch 12 |
| ISE / ISE-PIC 3.2 | 3.2 Patch 11 |
| ISE / ISE-PIC 3.3 | 3.3 Patch 12 |
| ISE / ISE-PIC 3.4 | 3.4 Patch 7 |
| ISE / ISE-PIC 3.5 | 3.5 Patch 4 |
Організаціям, які використовують ISE 3.0, слід запланувати міграцію на підтримуваний реліз. Версія 3.0 досягла кінця супроводу ПЗ і патча для неї не буде. Тимчасове жорстке обмеження доступу до адміністративних інтерфейсів та API може зменшити ризик на час міграції, але не замінює перехід на виправлену підтримувану версію. 2
16
48
Практичний план реагування
1. Виявити всі уражені вузли та оновити підтримувані інсталяції
Проведіть інвентаризацію розгортань ISE та ISE-PIC: адміністративних вузлів, вузлів політик, моніторингу та пасивної ідентифікації. Для кожного перевірте реліз і рівень патча, після чого оновіть систему щонайменше до відповідної першої виправленої версії. 3
13
2. За можливості зберегти докази до потенційно руйнівних змін
Перед оновленням або перебудовою вузла доцільно зібрати релевантні логи, стан системи та мережі, конфігурацію і пакет діагностичних даних, який підтримує виробник. Запис CISA в KEV прямо вказує федеральним установам виконувати вимоги з форензичного тріажу разом із рекомендаціями постачальника. 1
3. Перевірити ознаки несанкціонованого доступу
Перегляньте журнали ISE, зокрема події API та адміністративного аудиту: неочікувані запити, зміни адміністраторів, політик, сертифікатів, експорту конфігурації або налаштувань репозиторіїв. Зіставте їх із телеметрією міжмережевих екранів, VPN, реверс-проксі або балансувальників, DNS, EDR та даними мережевих потоків — насамперед щодо підключень до інтерфейсів керування ISE чи незвичної вихідної активності.
Перевіряйте період від часу до встановлення патча й до сьогодні. Зовні «чистий» вебінтерфейс не є доказом, що до системи ніколи не отримували доступ, особливо з огляду на заявлений рівень впливу — виконання команд із правами root. 3
48
4. Перевстановити вузли, які могли бути скомпрометовані
Патч закриває шлях проникнення, але сам по собі не доводить, що вже скомпрометований хост очищено. Вузол варто перебудувати, а не лише оновити, якщо є докази експлуатації, незрозумілі зміни на рівні root, підозрілі процеси, файли або з’єднання, змінені матеріали довіри чи конфігураційні зміни без зрозумілого пояснення.
Відновлюйте дані лише з резервної копії, яка підтверджено створена до ймовірного періоду компрометації. Встановіть виправлений реліз до повторного підключення вузла до мережі та змініть облікові дані й секрети, які могли зберігатися на вузлі або бути доступними через нього. Це може стосуватися адміністративних облікових записів ISE, облікових даних API й репозиторіїв, а також потенційно розкритих сертифікатів чи ключів.
Порівняння з CVE-2026-76461
CVE-2026-76460 стала другою активно експлуатованою zero-day у Cisco, розкритою того тижня. Інша — CVE-2026-76461 — це SQL-ін’єкція з оцінкою CVSS 9,8 у логіці обробки пошти Cisco AsyncOS для Cisco Secure Email Gateway. Неавтентифікований віддалений атакувальник може надіслати через уразливий шлюз спеціально сформований лист зі шкідливими SQL-виразами, що потенційно дає виконання команд із правами root. 33
44
Точки входу в цих двох випадках відрізняються:
- CVE-2026-76460: обхід автентифікації через спеціально сформований запит до API ISE або ISE-PIC.
1
40
- CVE-2026-76461: шкідливий вміст листа потрапляє до вразливої логіки розбору повідомлень у Cisco Secure Email Gateway.
33
Обидві уразливості особливо небезпечні, бо, за повідомленнями, активно експлуатуються, доступні віддалено й можуть дати root-контроль без попередньої автентифікації. 15
33
44
Наявні докази прямо підтверджують Cisco Secure Email Gateway як уражений продукт для CVE-2026-76461. Деякі повідомлення також згадують Cisco Secure Email and Web Manager у ширших бюлетенях щодо поштових продуктів Cisco, однак планування оновлень потрібно будувати за продуктовим бюлетенем Cisco та вказівками щодо релізів для кожного розгорнутого продукту. 33
41
Що досі невідомо
Факт активної експлуатації та технічна критичність підтверджені, але важливі операційні деталі публічно не розкриті. Повідомлення Cisco та сучасні публікації не встановлюють, хто стоїть за атаками, скільки організацій постраждало, коли почалася експлуатація, які інструменти застосовувалися і що зловмисники робили після отримання доступу. 1
15
Повідомлення про сканування після розкриття варто сприймати як додаткову підставу прискорити реагування, але надані дані не дозволяють надійно оцінити його обсяг чи пов’язати його з конкретним актором. Практичний висновок простий: уразливість максимального рівня, яку вже експлуатують, без доступного обхідного рішення та в системі керування ідентичностями, потрібно закривати негайно — а за наявності підозрілої активності або доступності вузла з ненадійних мереж проводити повноцінне розслідування. 1
3
48
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "CVE-2026-76460 у Cisco ISE: активно експлуатований zero-day з CVSS 10,0 вимагає негайного оновлення"?
CVE 2026 76460 — активно експлуатована уразливість CVSS 10,0 у Cisco ISE та ISE PIC: спеціально сформований запит до API може обійти автентифікацію й привести до виконання команд із правами root без облікових даних аб...
What are the key points to validate first?
CVE 2026 76460 — активно експлуатована уразливість CVSS 10,0 у Cisco ISE та ISE PIC: спеціально сформований запит до API може обійти автентифікацію й привести до виконання команд із правами root без облікових даних аб... 16 вересня 2026 року CISA внесла CVE 2026 76460 до каталогу Known Exploited Vulnerabilities (KEV) і встановила для федеральних цивільних установ США дедлайн усунення до 19 вересня.
What should I do next in practice?
Для підтримуваних гілок доступні виправлення; ISE 3.0 більше не підтримується, тому його слід мігрувати на підтримуваний реліз.